Les premières heures
- Contenir la violation : arrêter la fuite, sécuriser les comptes, conserver les preuves.
- Réunir l'équipe de crise et le délégué à la protection des données.
- Établir le moment de la prise de connaissance : les 72 heures courent à partir de là.
- Déterminer quelles données, combien de personnes, et quelles conséquences possibles.
Ce que contient la notification (article 33(3))
- La nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements.
- Le point de contact.
- Les conséquences probables.
- Les mesures prises ou envisagées.
Si vous ne savez pas encore tout
Notifiez dans le délai et complétez par étapes, comme le permet l'article 33(4). Si vous notifiez après 72 heures, vous devez indiquer les raisons du retard.
La proposition européenne Digital Omnibus modifierait la manière de notifier les violations. Vérifiez où elle en est au regard du texte actuel du RGPD.
Quand informer les personnes concernées
L'article 34 impose de les informer dans les meilleurs délais quand la violation est susceptible d'engendrer un risque élevé pour elles, en termes clairs, avec ce qu'elles peuvent faire pour se protéger.
Consigner chaque violation
L'article 33(5) impose de documenter toutes les violations, même non notifiées : les faits, les effets, les mesures et le raisonnement derrière votre décision.
Questions
- Quand démarre le délai de 72 heures ?
- Quand vous prenez connaissance de la violation, c'est-à-dire quand vous êtes raisonnablement certain que des données personnelles ont été compromises.
- Les sous-traitants notifient-ils l'autorité ?
- Un sous-traitant doit informer le responsable du traitement dans les meilleurs délais (article 33(2)). C'est le responsable qui notifie l'autorité.
- Toute violation doit-elle être notifiée ?
- Non : pas si elle est peu susceptible d'engendrer un risque pour les personnes. La décision et ses raisons doivent quand même être consignées.